技術文章 » 如何實現雲資料治理中的資料安全？

如何實現雲資料治理中的資料安全？

2023-03-20 12:04:02

作者：京東科技 李然輝

摘要

雲端計算被定義為計算資源的共用池，已經在不同的應用領域廣泛部署和使用。在雲端計算中，資料治理在提高整體效能和確保資料安全方面發揮著至關重要的作用。本研究從管理和技術應用兩方面探討如何實現雲資料治理中的資料安全。

關鍵詞：巨量資料，雲端計算，資料治理，資料安全，管理模式，加密，資料安全應用

1. 介紹

資料治理承擔著分配有關決策的權利和義務，以便資料可以作為公司資產進行管理。資料治理體系與整個資料生命週期相關，包括資料的產生、傳輸、使用、共用、儲存、歸檔、銷燬。因此，組織應該有一個整體的企業級資料治理策略，以最大化資料的價值並最小化潛在風險。

面對日益增長的資料量和複雜性，以及對融合、操作、儲存和呈現資訊的需求，組織越來越強調資料的治理。而資料安全是資料治理中的一個重要領域，安全性被認為是最大的資料治理挑戰。

2. 組織管理中的資料安全

2.1 外部組織

考慮到雲資料治理需要與第三方互動，本文提出了問責機制來加強整體安全水平。它可以被定義為一種模型，可以向管理者和供應商提供互動式共用資源，如網路、儲存、應用和服務。問責機制連線了三方，即組織、雲提供商和證書協會(CA)。組織可以授權CA對雲供應商採取監管行為 (如圖1所示)。

圖1 責任治理

在設計階段，圖2中的概念框架展示了對資料治理的設計。

圖2 資料治理設計的概念框架

2.2 內部組織

這一部分將研究管理架構。它主要包括三個相應的組，可以分為三級管理模型：一組高階管理人員，一箇中層管理團隊和一個資料治理工作組:

圖2 資料治理中的三層管理模型

資料一直被認為是組織中的資產，與人力資產、金融資產、物理資產、智慧財產權資產一樣。資料存取應由資訊長和資料安全官管理，在資料存取中控制安全性。為了解決IT和管理方面的組織問題，資料質量管理(DQM)應該建立與公司戰略和資料管理法律一致的組織範圍的指導方針和標準。這樣，從管理的角度來看，資料安全是相對具體的，因此，它可能不會達到戰略級別。總體資料安全治理模型總結如下:

圖4 資料安全管理框架

從安全管理框架中可以看出，組織中的資料安全將基於三層架構來實現。IT治理將與整個過程整合，以實現業務戰略的整體應變。

3. 技術層面的雲資料安全問題

3.1 雲端計算安全框架

具體到雲端計算的技術方面，資料安全問題可以分為幾個方面。Garner指出，雲使用者應該詢問七個具體的安全問題，包括特權使用者存取、法規遵從性、資料位置、資料隔離、恢復、調查支援和長期可行性。雲資料安全和雲端計算基礎設施相關的政策、控制和技術不同於傳統的IT環境。在這個範圍內，應該在整個資料生命週期中很好地部署資料安全和隱私。

雲環境中的七個重大安全挑戰，包括資料定位、調查、資料隔離、長期生存能力、受損伺服器、法規合規性和恢復。涉及未經授權的伺服器、暴力攻擊、來自雲服務提供商的威脅、篡改資料以及丟失使用者身份或密碼。可以在圖5中評估整體資料安全威脅。可以看出，安全緩解方法應該整合到資料生命週期的每個過程中，以實現資料的機密性、完整性和可用性。

圖5 資料生命週期中的資料安全威脅

根據評估，應重點關注與資料安全風險相關的四種技術方法，以保證資料的機密性、完整性和可用性：使用者認證、資料加密、三方協商和資料備份。

3.2 資料風險緩解機制

3.2.1 資料加密

加密被認為是防止入侵的最有效的方法之一，這是一種使用演演算法區分資訊的方法。這是一種保護不受信任的雲伺服器中的資料的方法。加密是偽裝資訊並將它們轉換成密文的過程，而解密是將它們恢復成可讀的形式。在雲端計算中，儘管有對稱加密和非對稱加密，但基於屬性的加密(ABE)和基於身份的加密(IBE)是具有細粒度存取控制的高效系統。對於多個組織中生成的資料，存取策略可以由多個機構執行。

a) 三種加密方法

在對稱加密中，用於加密訊息的金鑰與用於解密訊息的金鑰一致。使用非對稱加密時，用於加密訊息的金鑰不同於用於解密的金鑰它。基於屬性的加密(ABE)和基於身份的加密 (IBE)可以通過授權管理來實現，這意味著所有的私鑰都應該在授權中心進行管理。為了避免集中攻擊，分層IBE和分層ABE在不同的級別進行管理，以便金鑰可以在不同的級別進行分配。

圖 6:對稱加

圖 7:不對稱加密

圖 8:基於屬性的加密

b) 三種加密方法的應用

在雲端計算中，結合使用這三種加密方法來保護資料安全。為了確保個人或企業使用的安全雲端儲存，可以首先使用唯一金鑰使用AES加密資料，然後基於屬性的加密可以加密唯一金鑰。哈梅內伊和哈納皮提出了一個使用 RSA和AES加密方法的資料共用方法。在這個框架中，傳送者-接收者和雲端儲存系統 (CSS)。在第一個過程中，傳送者將他的檔案傳輸到CSS系統。RSA演演算法將用於實現加密。之後，檔案應該從CSS系統交付給接收者。系統收到請求後，接收者的公鑰也將使用使用者的公鑰傳送到CSS。最後，AES 加密演演算法將找到所需的檔案，並將其與金鑰一起傳送給使用者。

此外，還引入了許多其他加密應用程式。面向使用者的隱私保護協定（K2C）允許儲存，共用和管理他們的資訊，這是不可信的匿名。

3.2.2 使用者認證

使用者認證意味著只有授權使用者才能存取網路內部的特定資源。通過回顧現有的認證方法，關鍵公共基礎設施(PKI)和單點登入(SSO)技術主要用於雲端計算。公鑰基礎設施(PKI)。PKI提供了一個框架可以有效地大規模部署。它可以通過安全通訊端層(SSL)和傳輸層安全性(TLS)支援網路內外的身份管理和線上身份認證。它可以支援網路內部和跨網路的身份管理，以及使用安全通訊端層(SSL)和傳輸層安全性(TLS)的線上身份認證。單點登入技術利用單一認證動作來允許授權使用者存取獨立但相關的軟體系統或應用程式。它降低了管理人員集中管理的風險，提高了使用者的工作效率。

3.2.3 資料備份和災難恢復技術

ISP在雲端計算中為使用者提供了顯著的儲存空間，使用者可以將資料更新到中央雲。這樣，就產生了風險。一旦儲存在雲中的資料由於特定原因消失，例如雲破壞或自然災害，消費者的資料仍保留在雲中，他們應該繼續依賴雲提供商。為了解決這個問題，構建遠端資料備份服務是一種有效的方法。它是一個儲存領先雲的全部資料的伺服器，位於遠端位置，旨在當網路或連線出現故障時，幫助使用者端從遠端伺服器存取資料。